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摘 要 : 针对 如 何 提高 漏洞 风险 评估 的 准确 性 进行 了 研究 ， 提 出 一 种 动静 态 特征 结合 的 漏洞 风险 评估 及 缓解 方法 。 
通过 将 传统 风险 评估 方法 中 常用 的 来 源 于 CVSS 评分 系统 的 攻击 复杂 度 、 影 响 程度 、 攻 击 向 量 等 国定 属性 作为 静态 
特征 ， 将 防御 能 力 、 漏 洞 修复 情况 、 攻 击 者 的 攻击 能 力 等 随时 间 推 移 可 能 发 生变 化 的 属性 作为 动态 特征 ， 二 者 结合 
对 漏洞 的 风险 程度 进行 更 加 全 面 的 评估 。 给 出 了 在 实际 应 用 中 各 特征 的 量化 计算 方法 ， 以 及 漏洞 修复 策略 的 推荐 方 
法 。 以 单个 漏洞 的 风险 评估 过 程 和 多 个 漏洞 的 风险 评估 结果 为 例 ， 将 评估 结果 与 CVSS 评分 进行 对 比 实验 。 结 果 表 
明 该 方法 能 结合 具体 的 网 络 环境 给 出 更 加 准确 的 漏洞 风险 评估 结果 及 合理 的 漏洞 修复 策略 ， 验 证 了 该 方法 的 可 行 性 
和 有 效 性 。 
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Vulnerability risk assessment and mitigation method combining dynamic and static features 


< 一 Ye Ziwei, Guo Yuanbo, Ju Ankang 
™y (Information Engineering University, Zhengzhou 450000, China) 


Abstract: Aiming at improving the accuracy of vulnerability risk assessment, this paper proposed a vulnerability risk 
assessment and mitigation method combining dynamic and static features. The method took fixed features such as attack 
complexity, impact degree and attack vector, which were commonly used in traditional risk assessment methods, as static 
features. And features such as defense capability, vulnerability repair and attacker's attack capability that may changed over 
time as dynamic features. The method combined the two kinds of features to make a more comprehensive assessment of the 
risk of vulnerabilities. Then this paper gave quantitative calculation method of each feature in practice and the 
recommendation method of vulnerability repair strategy. To verify the method, it took the risk assessment process of single 


vulnerability and the risk assessment results of multiple vulnerabilities as examples, and compared the results with CVSS 
scores. The experimental results show that the method can provide more accurate vulnerability risk assessment results and 
reasonable vulnerability repair strategy in combination with specific network environment, thus demonstrates the feasibility 
and effectiveness of the method. 
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一 和 ”公堂 通过 总 结 现 有 研究 成 果 可 以 看 出 ， 目 前 针对 漏洞 风险 评 
-= 估 的 研究 ， 主 要 依据 的 仍 是 对 漏洞 自身 属性 的 先 验 知识 。 而 

随 着 传统 互联 网 和 工业 控制 网 、 物 联网 、 移 动 互联 网 等 ” 在 具体 的 网 络 环 境 中 ， 漏 洞 可 修复 性 、 现 有 防护 措施 、 攻 
特种 网 络 技术 的 发 展 ， 网 络 安全 问题 的 严重 性 正 日 益 加 剧 。 者 的 攻击 能 力 等 随时 可 能 发 生动 态 变化 的 属性 会 对 漏洞 的 实 
供 修复 方案 的 漏洞 
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基于 漏洞 利用 的 网 络 攻击 行为 对 各 类 网 络 系统 的 安全 性 造成 ” 际 风险 程度 产生 影响 ， 例 如 对 于 官方 已 司 
了 极 大 的 威胁 ， 因 此 研究 漏洞 的 成 因 、 归 纳 漏洞 的 类 型 、 评 ”可 通过 安装 官方 补丁 消除 漏洞 风险 ;通过 部 署 针 对 具体 攻击 
佑 漏洞 的 风险 程度 ， 对 于 提高 网 络 的 抗 攻 击 能 力 和 自我 修复 。 方式 的 防护 措施 可 降低 特定 类 型 漏洞 的 风险 程度 ， 潜 在 攻击 
能 有 重要 意义 。 者 的 攻击 能 力 越 强 ， 漏 洞 的 风险 越 大 。 研究 由 于 不 能 结 

前 在 漏洞 风险 评估 的 理论 研究 方面 ，Fu 等 人 中 提出 合 这 些 动态 特征 对 漏洞 的 风险 程度 进行 更 精确 地 评估 ， 会 导 
种 基于 粗糙 集 理 论 的 漏洞 风险 程度 评估 方法 ， 降 低 了 在 选择 ” 致 网 络 管理 者 对 网 络 安 全 性 及 漏洞 修复 优先 级 产生 误 判 。 
可 能 对 漏洞 风险 程度 造成 影响 的 属性 时 对 专家 经 验 的 依赖 程 针对 以 上 问题 ， 本 文 提出 一 种 动静 态 特征 结合 的 漏洞 风 
度 。 唐 成 华 等 人 外 提出 一 种 遗传 模糊 层次 分 析 法 ， 通 过 建立 。 险 评估 及 缓解 方法 ， 将 漏洞 攻击 复杂 度 、 利 用 后 果 、 利 用 向 
模糊 判断 和 矩阵 和 计算 非 线性 优化 问题 的 最 优 解 求 得 软件 漏洞 量 〈 本 地 /邻近 /远程 ) 作为 静态 特征 ， 将 补丁 状态 、 现 有 防 
的 风险 值 。Huang 等 人 J 基于 FAHP 算法 ， 整 合 多 种 常用 漏 。 ” 护 措施 、 攻 击 能 力 等 作为 动态 特征 ， 二 者 结合 共同 用 于 评估 


洞 属性 构建 了 安全 漏洞 评估 框架 ， 可 满足 多 种 场景 下 的 漏洞 目标 网 络 中 各 漏洞 的 风险 程度 ， 并 根据 风险 程度 评估 结果 对 
风险 评估 需求 。 此 外 ， 部 分 研究 人 员 还 将 现 有 方法 应 用 到 ] 漏洞 修复 的 优先 级 进行 排序 。 

移动 互联 网 时、 电信 通信 设备 自 、 电 力 控 制 工业 系统 "1 等 网 本 文 主要 贡献 如 下 : a) 对 漏洞 的 动静 态 特征 进行 分 析 和 
络 中 。 选取 ; b) 提出 一 种 动静 态 特 征 结合 的 漏洞 风险 评估 方法 , 为 
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录用 定稿 叶子 维 ， 等 : 动静 态 特 征 结合 的 漏洞 风险 评估 及 缓解 方法 第 37 卷 第 4 期 
目标 网 络 采取 更 进一步 的 安全 防护 措施 提供 依据 ; c) 提出 基 式 、 攻 击 强度 、 攻 击 目 标 等 特征 ， 判 断 当 前 攻击 者 的 攻击 能 
于 漏洞 风险 评估 结果 及 漏洞 类 型 的 漏洞 修复 策略 推荐 方法 ， 力 。Fadlallah 等 人 [15 通过 实验 进行 概念 验证 ， 证 明了 将 攻击 
为 网 络 管理 者 修复 漏洞 提供 依据 ; d) 以 实例 分 析 验 证 了 本 文 图 技术 和 入 侵 检 测 技 术 结 合 可 用 于 动态 分 析 正 在 发 动 攻击 的 
提出 方法 的 实用 性 和 有 效 性 。 攻击 者 可 能 进行 的 后 续 攻 击 行 为 ， 从 而 判断 攻击 者 的 攻击 
1 ”相关 工作 的 和 攻击 能 力 。Pieters 等 人 69 提出 一 种 框架 ， 在 攻击 过 程 中 

根据 攻击 者 的 投入 实时 判断 攻击 者 的 攻击 能 力 和 攻击 强度 ， 
1.1 CVSS 标准 从 而 修正 漏洞 利用 概率 。 


漏洞 风险 评估 的 核心 之 一 是 风险 相关 特征 的 量化 ， 量 化 2 ”方法 概述 
方法 的 优 劣 直接 关系 到 风险 评估 结果 的 准确 度 和 适用 性 。 
于 漏洞 广泛 存在 于 各 类 应 用 场景 下 的 各 种 软 硬 件 中 ， 因 此 不 本 文 提出 的 动静 态 特 征 结合 的 漏洞 风险 评估 及 缓解 方法 
同 的 厂商 和 机 构 对 于 漏洞 风险 评估 的 侧重 点 不 尽 相 同 ， 这 导 ”主要 包含 漏洞 风险 评估 和 漏洞 修复 策略 推荐 两 个 阶段 。 
致 了 目前 并 没有 统一 的 、 各 类 场景 通用 的 漏洞 风险 评估 标准 。 ”2.1 漏洞 风险 评估 

CVSS 标准 是 目前 所 有 漏洞 风险 评估 标准 中 普遍 适用 性 传统 的 基于 CVSS (common vulnerability scoring system， 
最 好 、 使 用 最 广泛 的 标准 ， 得 到 了 包括 美国 国家 漏洞 数据 库 ” 通用 漏洞 评分 系统 ) 标准 的 漏洞 风险 评估 方法 只 考虑 漏洞 的 
NVD、 国 家 信息 安全 漏洞 共享 平台 CNVD 等 漏洞 数据 库 , 以 攻击 复杂 度 、 攻 击 向 量 、 影 响 程度 等 静态 特征 ， 导 致 大 量 漏 
及 赛 门 铁 克 Symantec、 甲 骨 文 Oracle 等 众多 厂商 的 支持 。2015 ， 洞 的 评分 相同 或 相近 , 难以 精确 地 体现 出 漏洞 之 间 的 差异 性 。 
年 8 月 CVSS 在 2.0 版 本 的 基础 上 进行 了 部 分 指标 和 评价 体 且 随 着 官方 补丁 的 发 布 、 攻 击 代 码 的 公开 、 新 防御 能 力 的 采 
系 的 更 新 ,发 布 了 3.0 版 本 ,是 目前 最 新 的 版 本 .相对 于 CVSS ” 用 等 条 件 变 化 ， 同 一 漏洞 的 风险 程度 也 在 发 生变 化 。 针 对 上 
2.0 版 本 ，3.0 版 本 主要 增加 了 对 漏洞 之 间 互 相 影响 情况 的 分 。” 述 问 题 , 本文 提出 一 种 动静 态 特征 结合 的 漏洞 风险 评估 方法 ， 
析 ， 采 用 了 更 加 细 粒 度 的 攻击 难度 相关 指标 ， 并 能 对 同一 组 。” 通过 在 传统 方法 的 基础 上 结合 动态 特征 对 漏洞 进行 更 加 精细 


牛 上 存在 的 多 个 漏洞 之 间 的 利用 链 进 行 分 析 。 上 述 新 特性 使 ” 化 的 风险 评估 ， 来 提供 更 加 合理 的 漏洞 修复 策略 。 
得 3.0 版 本 具有 更 好 的 客观 性 和 兼容 性 。 2.1.1 面向 风险 评估 的 漏洞 特征 选取 

目前 已 有 较 多 研究 成 果 对 CVSS 标准 进行 了 讨论 和 改进 。 如 前 文 所 述 ， 本 文 将 漏洞 特征 分 为 静态 特征 和 动态 特征 
Allodi 和 Younis 等 人 中 讨论 了 CVSS 标准 对 于 漏洞 的 模式 化 ”两 部 分 。 其 中 ， 静 态 特征 包含 漏洞 攻击 复杂 度 、 攻 击 向 量 和 


分 类 和 评分 是 否 能 准确 评估 漏洞 带 来 的 安全 风险 。Johnson ”影响 程度 。 在 CVSS 评分 标准 中 ， 上 述 三 个 特征 的 取 值 如 表 
等 人 (WJ 讨论 了 在 不 同 数据 库 和 应 用 场景 中 CVSS 标准 是 否 具 ”1 所 示 。 其 中 攻击 复杂 度 有 三 种 取 值 ， 由 低 到 高 依次 表示 攻 
有 普遍 适用 性 。 刘 奇 旭 等 人 的 研究 了 如 何在 CVSS 标准 的 基 。 ” 击 复 杂 度 的 增加 ;攻击 向 量 有 三 种 取 值 ， 由 低 到 高 依次 表示 
础 上 进行 更 精细 的 漏洞 安全 等 级 划分 ,Ruohonen 等 人 00 通 过 ”攻击 者 可 以 通过 远程 网 络 /需要 从 位 于 同一 物理 或 逻辑 网 络 
案例 分 析 了 漏洞 从 发 现 到 收录 的 过 程 中 的 各 种 开销 以 及 影响 。 中 的 主机 上 /只 能 从 本 机 利用 该 漏洞 发 起 攻击 ; 影响 程度 表明 
这 些 开销 的 要 素 。 此 外 ， 部 分 学 者 研究 了 如 何 将 CVSS 标准 ” 该 漏洞 对 受 影响 的 组 件 在 机 密 性 、 完 整 性 、 可 用 性 方面 的 影 
应 用 于 电信 网 络 03、 工 业 控 制 网 络 D03 等 多 种 具体 的 应 用 场景 。” 响 ， 通 常 在 漏洞 数据 库 中 会 给 出 量化 值 。 


中 。 表 1 静态 特征 取 值 范围 
1.2 攻击 能 力 分 析 Table 1 Value range of static features 
攻击 者 的 能 力 高 低 直 接 影响 了 网 络 的 风险 程度 。 不 同类 村 征 取 值 范围 
型 的 目标 网 络 通 常会 面 对 不 同 目的 的 潜在 攻击 者 ， 而 攻击 者 攻击 复杂 度 (attackcomplexity) Low/medium/high 
的 攻击 目的 与 攻击 能 力 存 在 一 定 关 联 性 ， 例 如 以 满足 政治 诉 攻击 向 量 (attackvector) Network/adjacent/local 
求 、 获 取经 济 利 益 的 攻击 者 通常 具有 较 高 的 攻击 能 力 ， 而 以 影响 程度 (impact) (0,10] 
测试 自己 技术 水 平 、 和 恶作剧 为 目的 的 攻击 者 通常 攻击 能 力 较 动态 特征 包含 防御 能 力 、 漏 洞 修复 情况 、 攻 击 能力 三 部 
低 。 对 于 不 同 能 力 的 攻击 者 采取 不 同 的 防御 措施 ， 可 以 在 满 分。 其 中 ， 防 御 能 力 特 征 表示 当前 网 络 中 采用 的 防御 措施 对 
足 安全 需求 的 同时 有 效 降 低 防 御 成 本 。 利用 该 漏洞 发 起 的 攻击 的 防御 能 力 ， 表 明 网 络 自身 对 漏洞 带 
判断 攻击 者 的 能 力 高 低 ， 通 常 有 两 种 方式 。 一 种 是 在 攻 ”来 的 风险 的 抵抗 能 力 ， 漏 洞 修复 情况 特征 表示 软 硬 件 厂商 对 
击发 生前 ， 根 据 己方 网 络 的 类 型 、 存 放 数 据 的 保密 等 级 、 攻 自身 产品 中 存在 的 漏洞 发 布 官 方 补丁 的 情况 ， 表 明 厂 商 对 漏 
击 者 可 能 的 攻击 目的 等 要 素 ， 预 判 潜在 攻击 者 的 攻击 能 力 。 洞 风险 的 缓解 措施 ;攻击 能 力 表 示 攻 击 者 对 利用 该 漏洞 发 动 


在 该 研究 方向 上 ，Holsteijn04 采 用 攻击 树 技术 判断 攻击 者 的 ”攻击 的 能 力 ,表明 攻击 者 的 攻击 技能 对 漏洞 风险 产生 的 影响 。 
攻击 意图 ， 从 而 判断 攻击 者 的 攻击 能 力 ， 例 如 为 了 经 济 利益 ”参考 静态 特征 的 取 值 范围 ， 本 文 设 定 动态 特征 的 取 什 范围 如 
和 为 了 技术 挑战 的 攻击 者 对 于 攻击 结果 的 评估 是 不 同 的 , 同 。 表 2 所 示 。 


时 表现 出 的 攻击 能 力也 是 不 同 的 。Jaafor 等 人 [5 将 社工 攻击 表 2 动态 特征 取 值 范围 

分 为 多 个 攻击 阶段 和 攻击 环境 ， 以 攻击 者 、 被 攻击 者 、 发 动 Table 2 ”Value range of dynamic features 

攻击 需要 的 资源 (技术)、 具 体 的 攻击 行为 为 元 素 , 构建 多 层 特征 取 值 范围 

图 模型 ， 用 于 分 析 社 交 网 站 、 论 坛 或 博客 中 可 能 发 生 的 社工 防御 能 力 〈defencecapbiliity) [0,1] 

攻击 和 潜在 攻击 者 的 攻击 能 力 。Durkota 等 人 06171 通 过 将 网 漏洞 修复 情况 (vulnerabilityrepair) False/part/true 

络 行为 分 解 为 自然 行为 (普通 用 户 行为 )、 防御 者 行为 和 攻击 攻击 能 力 (attackcapbility) [0,1] 

者 行为 ， 假 定 攻 击 者 可 以 获取 当前 网 络 状态 ， 但 无 法 预 判 防 如 表 2 所 示 ， 各 特征 取 值 范围 说 明 如 下 : 

御 者 可 能 采取 的 防御 措施 ， 基 于 博弈 论 方法 来 评估 攻击 者 可 a) 防御 能 力 取 值 为 概率 值 , 表示 攻击 者 成 功利 用 该 漏洞 

能 的 攻击 能 力 和 攻击 行为 。 发 起 攻击 时 网 络 对 该 攻击 的 防御 概率 。 当 取 值 为 0 时， 表明 
另 一 种 方式 是 在 攻击 发 生 时 ， 根 据 攻击 者 采取 的 攻击 方 当前 网 络 中 的 防御 机 制 不 能 发 现 或 即使 发 现 也 无 法 阻止 攻击 ; 
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chinaXiv 


ChinaXiv 合 作 期 刊 


录用 定稿 叶子 维 ， 等 : 动静 态 特 征 结合 的 漏洞 风险 评估 及 缓解 方法 第 37 卷 第 4 期 
当 取 值 为 1 时， 表示 当前 网 络 中 的 防御 机 制 每 次 都 能 成 功 发 。 2.2 漏洞 修复 策略 推荐 
现 并 阻止 攻击 。 在 实践 中 ， 该 项 特征 可 根据 防御 机 制 的 历史 使 用 2.1.2 节 所 述 的 漏洞 风险 计算 方法 对 目标 网 络 中 的 
记录 ， 以 漏洞 类 型 为 对 象 ， 统 计 针 对 基于 特定 类 型 的 漏洞 发 全 部 漏洞 进行 风险 量化 计算 后 ， 仍 可 能 出 现 多 个 漏洞 的 风险 
起 的 攻击 的 防御 成 功率 ， 作 为 该 项 特征 的 量化 值 。 评分 相同 或 非常 相近 的 情况 。 传 统 漏洞 修复 策略 在 这 种 情况 
b) 漏洞 修复 情况 取 值 分 三 类 , 由 低 到 高 依次 表示 目前 尚 。 下 只 能 对 这 些 漏 洞 给 出 相同 的 修复 优先 级 ， 难 以 根据 实际 情 
无 针对 该 漏洞 的 解决 方案 /官方 未 发 布 补 丁 但 第 三 方 安全 机 。” 况 确定 这 些 漏洞 的 修复 顺序 。 针 对 这 一 缺陷 ， 提 出 一 种 基于 
构 发 布 了 应 急 缓解 方案 /官方 发 布 了 可 完全 修复 该 漏洞 的 补 ”漏洞 类 型 的 漏洞 风险 比较 方法 ， 当 多 个 漏洞 风险 评分 相同 时 
丁 。 考 虑 到 在 实践 中 ， 可 能 存在 如 下 情况 : 官方 针对 某 一 漏 。 根据 各 自 的 漏洞 类 型 确定 修复 优先 级 ， 最 终 给 出 细 粒 度 的 漏 
洞 发 布 了 补丁 ， 但 由 于 节点 兼容 性 等 原因 ， 该 补丁 无 法 成 功 洞 修复 策略 。 该 方法 通过 对 不 同类 型 漏洞 的 平均 影响 程度 进 
安装 或 安装 后 软 硬 件 无 法 正常 使 用 ， 或 由 于 该 补丁 可 能 引入 行 统计 分 析 ， 对 漏洞 类 型 进行 优先 级 排序 。 当 有 多 个 漏洞 风 
新 漏洞 等 原因 而 主动 放弃 安装 。 此 时 应 视 为 官方 未 发 布 针 对 险 评分 相同 时 ， 漏 洞 类 型 对 应 的 平均 影响 程度 较 高 的 漏洞 应 
该 漏洞 的 补丁 ， 取 值 根据 实际 情况 取 False 或 Part。 当 优先 修复 。 该 方法 具体 流程 如 下 : 
c) 攻击 能 力 取 值 为 概率 值 , 表示 攻击 者 利用 该 漏洞 成 功 方法 1 基于 漏洞 类 型 的 漏洞 风险 比较 及 修复 策略 推荐 
发 动 攻击 的 概率 。 当 取 值 为 0 时， 表示 攻击 者 的 能 力 不 足 以 ” 方法 
利用 该 漏洞 发 起 攻击 ， 当 取 值 为 1 时， 表示 攻击 者 每 次 都 可 a) 统 计 一 定时 间 段 内 NVD 收录 的 漏洞 的 类 型 、 数 量 和 每 
以 成 功利 用 该 漏洞 发 起 攻击 。 由 于 漏洞 风险 评估 的 主要 应 用 个 漏洞 的 影响 程度 评分 ; 
是 在 攻击 发 生前 指导 如 何 修复 网 络 漏洞 和 采取 防护 措施 ， 因 b) 对 每 种 类 型 漏洞 的 平均 影响 程度 进行 计算 ; 
此 此 处 对 攻击 者 的 攻击 能 力 评估 主要 是 根据 网 络 特征 预 判 洪 oc) 根据 平均 影响 程度 对 漏洞 类 型 进行 排序 ， 排 序 结果 用 
在 攻击 者 的 攻击 能 力 ， 而 非 在 攻击 发 生 时 对 攻击 能 力 进 行 实 。 于 对 相同 风险 评分 的 漏洞 进行 修复 优先 级 排序 ; 
时 分 析 。 目 前 已 有 学 者 研究 了 如 何在 实践 中 对 攻击 者 的 攻击 d) 使 用 漏洞 扫描 器 获取 目标 网 络 中 的 全 部 已 知 漏洞 信息 ， 
能 力 进 行 评估 ， 本 文 已 在 1.2 节 列 举 部 分 成 果 ， 此 处 不 再 袭 ” 设 主机 集合 为 了 机， 漏洞 集合 为 V; 
述 。 e) 计算 每 个 漏洞 的 风险 评分 RiskScore; 
2.1.2 漏洞 风险 计算 方法 站 对 全 部 漏洞 根据 风险 评分 由 高 到 低 进 行 排序 ， 对 于 风 
参考 文献 [20] 对 静态 特征 中 的 攻击 复杂 度 和 攻击 向 量 进 ” 险 评分 差 值 小 于 0.5 的 多 个 漏洞 ， 根 据 漏 洞 类 型 的 平均 影响 
行 赋值 ， 具 体 数 值 如 表 3 所 示 。 影 响 程度 的 量化 值 直接 采用 程度 进行 排序 ， 若 漏洞 类 型 相同 则 作 并 列 处 理 ; 
NVD 给 出 的 值 。 名 根据 漏洞 排序 结果 ， 输 出 漏洞 修复 策略 。 
表 3 静态 特征 量化 值 上 述 步 又 以 算法 表示 如 下 : 
Table 3 Quantization value of static features 算法 1 漏洞 修复 策略 推荐 算法 
村 征 取 值 量化 值 Input: NVD 收录 的 漏洞 集合 Vre〈 包 含 漏 洞 类 型 T 和 漏洞 影响 工 )， 
low 0.35 目标 网 络 漏洞 集合 V。 
攻击 复杂 度 (attackcomplexity) medium 0.61 Output: 漏洞 修复 策略 Seq(V)。 
high 0.71 1 for (t=1;t<n;t++) 
network 1.0 i = Dn 。 
攻击 向 量 (attackvector) adjacent 0.65 
local 0.40 3 rank It; 
slight 0.24 4 for(s=1; sm; s++) 
影响 程度 (impact) part 0.63 5 Riskscore(vs); 
complete 1.0 6 rank RiskScore(V); 
动态 特征 取信 中 防御 能 力 和 攻击 能 力 的 取信 已 经 是 量化 7 PRI(V)=count(RiskScore(V)); 
值 。 漏 洞 修复 情况 取 值 为 false/parttrue， 设 对 应 量化 值 为 。 8 for(a=1; a<n; at+) 
0/0.6/1 。 9 for(b=a+1; b<m) 
在 上 述 特征 赋值 基础 上 ， 提 出 漏洞 风险 评分 公式 ， 如 下 16 if(|RiskScore(va)-RiskScore(vp)|<=0.5) 
所 示 : 11 if(ita=itb) 
RiskScore =4x(StaticScore+ DynamicScore) (1) 12 set pria=prib; 
公式 中 StaticScore 和 DynamicScore 分 别 表 示 漏 洞 的 静态 13 else exchange(pria, prib); 
特征 和 动态 特征 的 综合 评分 入 为 比例 系数 。 其 各 自 计算 方式 14 。 end if 
如 下 : 15 end for 
StaticScore = Attack Vectorx Impact/ AttackComplexity (2) 16 end for 
DynamicScore = (1— DefenceCapbiliity )x @) 17 return Seq(V); 
(1- VulnerabilityRepair)x AttackCapbility 上 述 算法 中 ，(1)~(3) 行 为 根据 漏洞 类 型 计算 平均 影响 程 
特征 取 值 范围 可 知 ，StaticScore 取 值 范围 为 度 并 排序 ， 其 中 为 漏洞 类 型 集合 T 中 的 元 素 总 数 ， 即 漏洞 
0.135~2.857，DynamicScore 取 值 范围 为 0~1， 因 此 综合 漏洞 。 类 型 总 数 ; i 为 类 型 为 t 的 全 部 漏洞 的 平均 影响 程度 ; nt 为 类 
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限 相 同 ， 


以 符合 一 般 使 


为 0.135~3.857。 为 将 RiskScore 


使 其 上 限 与 CVSS 评分 
习惯 ， 计 算得 =2.592， 即 
RiskScore = 2.592x(StaticScore+ DynamicScore) 


的 取 值 范围 上 


] 


型 


数 ， 即 目标 网 络 中 己 知 漏洞 的 总 数 ; v 为 V 中 的 元 素 。(6) 行 
为 对 所 有 漏洞 的 风险 评分 进行 排序 ，(7) 为 根据 当前 的 风险 评 


为 


中 所 有 漏洞 进行 


t 的 漏洞 的 总 数 ; 为 i 的 集合 。 
风险 计算 , 其 中 


(4)~(5) 行 为 对 目标 网 络 
m 为 漏洞 集合 V 中 的 元 素 总 
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分 排序 结果 进行 漏洞 修复 优先 级 排序 。PRI(CV) 表 示 全 部 漏洞 1) CVSS 2.0 
的 修复 优先 级 集合 。(8)~(16) 行 为 比较 所 有 相 邻 的 漏洞 风险 评 根据 式 (1)~(3) 计 算得 到 静态 特征 评分 
分 ， 若 有 评分 差 值 小 于 0.5 且 不 为 0 的 两 个 漏洞 ， 则 将 对 应 ”StaticScore=0.63*1.0/0.71=0.887 ， 动 态 特 征 评 分 
漏洞 类 型 的 平均 影响 程度 较 高 的 漏洞 的 修复 优先 级 提前 ; 若 。 DynamicScore=(1-0.8)*(1-0)*1=0.2， 综 合 漏洞 风险 评分 
评分 相同 ， 则 两 个 漏洞 修复 优先 级 相同 。ia 和 itv 分 别 表示 漏 。 RiskScore=2.592*(0.887+0.2)=2.818。 
洞 a 和 漏洞 b 对 应 的 漏洞 类 型 的 平均 影响 程度 ，pria 和 prip 2) CVSS 3.0 
分 别 表示 漏洞 a 和 漏洞 b 的 修复 优先 级 。(17 ) 行为 根据 最 终 根据 式 (1)~(3) 计 算得 到 静态 特征 评分 
的 漏洞 修复 优先 级 排序 结果 输出 漏洞 修复 策略 Seq(V), 即 推 。” StaticScore=0.63*1.0/0.35=1.800 ， 动 态 特 征 评 分 
荐 的 漏洞 修复 序列 ， 顺 位 越 靠 前 的 漏洞 越 需要 优先 修复 。 DynamicScore=(1-0.8)*(1-0)*1=0.2 ， 综 合 漏洞 风险 评分 


网 RiskScore=2.592*(1.800+0.2)=5.184。 
3 ”实验 验证 ( ) 


将 计算 结果 与 CVSS 给 出 的 评分 进行 对 比 , 当 采 用 CVSS 
3.1 单个 漏洞 风险 评估 案例 2.0 标准 时 ， 本 文 方法 得 出 的 漏洞 风险 评分 为 2.818 分 ， 小 于 
以 漏洞 CVE-2018-14359 为 例 说 明 本 文 方法 在 实践 中 如 ”CVSS 给 出 的 7.5 分 ， 当 采用 CVSS 3.0 标准 时 ， 本 文 方法 得 
可 使 用 。 出 的 漏洞 风险 评分 为 5.184 分 ， 小 于 CVSS 给 出 的 9.8 分 。 
CVE-2018-14395 是 一 个 存在 于 Mutt 和 NeoMnutt 的 缓冲 此 可 知 尽管 该 漏洞 是 一 个 高 危 漏 洞 ， 于 目标 网 络 中 采 
x 溢出 漏洞 ,通过 利用 该 漏洞 攻击 者 可 以 实现 任意 代码 执行 。 用 的 防护 机 制 对 基于 该 类 型 漏洞 发 起 的 攻击 有 较 好 的 防御 效 
从 美国 国家 数据 库 NVD 中 获取 该 漏洞 的 部 分 信息 如 表 4 所 果 ， 因 此 无 论 是 采用 2.0 标准 还 是 3.0 标准 ， 该 漏洞 对 于 目 
示 。 标 网 络 的 风险 程度 都 远 低 于 CVSS 给 出 的 综合 评分 。 
表 4 CVE-2018-14395 漏洞 信息 3.2 多 个 漏洞 风险 评估 及 修复 策略 推荐 实验 
Table 4 Information of CVE-2018-14395 为 验证 本 文 方法 对 网 络 中 多 个 漏洞 的 评估 结果 和 修复 策 
参数 CVSS 2.0 CVSS 3.0 各 推荐 的 准确 性 和 有 效 性 , 使 用 漏洞 扫描 工具 Nessus 对 实验 
漏洞 编号 CVE-2018-14359 CVE-2018-14359 网 络 中 某 主 机 进行 漏洞 扫描 ， 共 发 现 5 个 漏洞 ， 其 静态 特征 
攻击 复杂 度 0 3 言 息 如 表 5 所 示 。 
通过 查询 相关 信息 可 知 ，CVE-1999-0499 、 
漏洞 公开 时 间 ee O16-06 0 CVE-1999-0517 和 CVE-2017-0267 三 个 漏洞 被 攻击 者 成 功利 
补丁 发 布 时 间 Oe Te 2018.07.16 用 时 会 导致 信息 泄露 ，CVE-2016-0128 被 攻击 者 成 功利 用 时 
CVSS 评分 7.5 9.8 会 导致 目标 主机 受到 中 间 人 攻击 ; CVE-2017-0143 被 攻击 者 
表 4 可 知 ，CVSS 2.0 版 本 和 CVSS 3.0 版 本 对 该 漏洞 。 成 功利 用 时 会 导致 任意 代码 执行 。 根 据 漏 洞 公开 和 补丁 发 布 


OO 的 主要 分 歧 点 在 于 攻击 复杂 度 和 综合 评分 。CVSS 3.0 相对 于 时 间 ， 假 定 CVE-1999-0499 、 CVE-1999-0517 和 
A CVSS 2.0 大 幅 降 低 了 该 漏洞 的 攻击 复杂 度 , 略微 提高 了 该 漏 CVE-2016-0128 己 有 官方 发 布 的 可 安装 的 修复 补丁 ; 
rE 洞 的 影响 程度 ， 攻 击 向 量 无 变化 ， 因 此 综合 风险 评分 有 较 大 CVE-2017-0143 的 官方 补丁 由 于 兼容 性 问题 无 法 安装 ， 只 能 
厚度 的 提升 。 采用 第 三 方 安全 公司 提供 的 缓解 方案 ，CVE-2017-0267 暂 无 
假定 在 某 目 标 网 络 中 存在 该 漏洞 ， 且 尚 无 针对 该 漏洞 的 官方 或 第 三 方 解 决 法 案 。 此 外 ， 假 定 攻 击 者 每 次 都 能 利用 上 
吉方 补丁 或 应 急 缓解 方案 ， 以 该 网 络 为 攻击 目标 的 攻击 者 每 述 漏 洞 都 能 成 功 发 起 攻击 ， 网 络 中 采用 的 防护 机 制 对 信息 泄 
次 都 能 利用 该 漏洞 成 功 发 起 攻击 。 通 过 统计 分 析 历史 日 志 ， 露 攻击 的 防御 概率 为 0.8， 对 中 间 人 攻击 的 防御 概率 为 0.5， 
得 知 该 网 络 中 采用 的 防护 措施 对 基于 该 类 型 漏洞 发 起 的 攻击 对 任意 代码 执行 攻击 的 防御 概率 为 0.2。 则 采用 本 文 方法 ， 
有 0.8 的 防御 成 功 概率 。 计算 得 到 5 个 漏洞 的 综合 风险 评分 如 表 6 所 示 。 
表 5 实验 主机 漏洞 信息 (基于 CVSS 2.0 标准 ) 
Table 5 Vulnerabilities on experimental host (based on CVSS 2.0 standard) 


| 


| 


参数 CVE-1999-0499 CVE-1999-0517 CVE-2016-0128 CVE-2017-0143 CVE-2017-0267 
攻击 复杂 度 low low medium medium medium 
攻击 向 量 network network network network network 
影响 程度 6.4 6.4 4.9 10.0 2.9 
漏洞 公开 时 间 1997.01.01 1997.01.01 2016.03.23 2017.03.14 2017.05.09 
补丁 发 布 时 间 1999.06.07 1998.11.17 2016.04.12 2017.03.14 2017.05.09 
CVSS 评分 7.5 7.5 5.8 9.3 4.3 


表 6 漏洞 风险 评估 结果 (基于 CVSS 2.0 标准 ) 
Table6 Results of vulnerability risk assessment(based on CVSS 2.0 standard) 


参数 CVE-1999-0499 CVE-1999-0517 CVE-2016-0128 CVE-2017-0143 CVE-2017-0267 
StaticScore 1.829 1.829 0.803 1.639 0.475 
DynamicScore 0 0 0 0.32 0.2 
RiskScore 4.740 4.740 2.082 5.078 1.751 


上 表 中 的 风险 评估 结果 可 以 看 出 ， 由 于 网 络 中 采用 了 攻击 复杂 度 低 、 影 响 程度 较 高 ， 应 当 次 优先 修复 ， 且 由 于 漏 
针对 任意 代码 执行 攻击 的 防护 机 制 ， 尽 管 CVE-2017-0143 漏 洞 类 型 相同 ， 所 以 优先 级 相同 ; CVE-2016-0128 和 
洞 在 CVSS 2.0 标准 下 评分 高 达 9.3 分 , 但 在 目标 网 络 中 风险 ””CVE-2017-0267 在 目标 网 络 中 风险 程度 很 低 ， 可 将 修复 次 序 
程度 较 低 , 仅 为 5.078 分 ; CVE-1999-0499 和 CVE-1999-0517 ” 放 在 最 后 。 综 上 所 述 ， 最 终 推荐 的 漏洞 修复 策略 为 
两 个 漏洞 虽然 利用 后 果 是 风险 程度 较 低 的 信息 泄露 ， 但 由 于 CVE-2017-0143 > CVE-1999-0499 = CVE-1999-0517 > 
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CVE-2016-0128 > CVE-2017-0207. 

此 外 , 由 于 CVE-1999-0499、CVE-1999-0517 没有 CVSS 
3.0 评 分 ,因此 本 文 在 表 7 和 8 中 仅 给 出 其 他 三 个 漏洞 在 CVSS 
3.0 标准 下 的 漏洞 信息 和 风险 评估 结果 作为 参考 。 
表 7 实验 主机 漏洞 信息 (基于 CVSS 3.0 标准 ) 
Table 7 Vulnerabilities on experimental host(based on CVSS 3.0 


standard) 
参数 CVE-2016-0128 CVE-2017-0143 CVE-2017-0267 
攻击 复杂 度 High High High 
攻击 向 量 Network Network Network 
影响 程度 5.2 5.9 3.6 
漏洞 公开 时 站 2016.03.23 2017.03.14 2017.05.09 
补丁 发 布 时 站 2016.04.12 2017.03.14 2017.05.09 


CVSS 评分 6.8 8.1 5.9 
表 8 漏洞 风险 评估 结果 (基于 CVSS 3.0 标准 ) 
Table 8. Results of vulnerability risk assessment(based on CVSS 3.0 


standard) 
参数 CVE-2016-0128 CVE-2017-0143 CVE-2017-0267 
StaticScore 0.732 0.831 0.507 
DynamicScore 0 0.32 0.2 
RiskScore 1.897 2.983 1.833 


4 ”结束 语 


特定 漏洞 在 具体 网 络 中 的 风险 程度 随 漏洞 可 修复 性 、 现 
有 防护 机 制 、 攻 击 能 力 等 特征 的 变化 而 变化 。 考 虑 到 这 种 变 
化 趋势 会 直接 影响 网 络 管理 者 对 修复 漏洞 、 增 加 防护 机 制 等 
安全 防护 行为 的 实施 优先 级 ， 本 文 提出 一 种 动静 态 特 征 结合 
的 漏洞 风险 评估 及 缓解 方法 ， 通 过 将 上 述 可 变 特 征 作为 动态 
特征 ， 将 攻击 复杂 度 、 影 响 程度 、 攻 击 向 量 等 相对 稳定 的 特 
征 作 为 静态 特征 ， 二 者 结合 对 漏洞 的 风险 程度 进行 评估 。 评 
估 结 果 用 于 分 析 网 络 整体 安全 性 及 具体 漏洞 对 网 络 安全 性 的 
影响 ， 并 以 此 为 依据 进行 漏洞 修复 策略 的 推荐 ， 从 而 指导 网 
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络 管理 者 对 网 络 采 取 加 固 措 施 。 
后 续 工 作 中 将 进一步 研究 是 否 还 有 其 他 尚未 考虑 到 的 动 
态 特 征 ， 以 及 如 何在 本 文 方法 中 引入 这 些 新 特征 以 便 进一步 


o 


提高 漏洞 风险 评估 的 准确 性 
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